رمز الجلسة يمثل وصولًا إلى الحساب، ولذلك يحتاج حماية أثناء النقل والتخزين والاستخدام. نجاح تسجيل الدخول بداية الدورة وليس نهايتها.
الفكرة الأساسية
جدّد معرف الجلسة عند تغير مستوى الثقة وفق آلية الإطار، واضبط خصائص ملفات الارتباط. حدّد انتهاءً مناسبًا للجلسة وإبطالًا فعليًا عند الخروج أو وقوع حدث أمني.
خطوات عملية
- استخدم HTTPS وإعدادات Secure وHttpOnly الملائمة.
- لا تضع معرف الجلسة في عنوان URL.
- اختبر الخروج وتبديل الحساب والجلسات المتزامنة.
مثال تطبيقي
بعد تغيير كلمة المرور قد يحتاج المنتج إلى إبطال جلسات أخرى أو عرض قائمة بها وفق سياسة الحساب.
خطأ شائع ينبغي تجنبه
إزالة الرمز من واجهة المستخدم وحدها لا تثبت أن الخادم أبطل الجلسة. اختبر الطلبات القديمة بعد الخروج.
للتوسع في الموضوع
صور توضيحية: الغلاف من Unsplash، الصورة الداخلية من Unsplash. ترخيص الاستخدام.
